Mange købere forestiller sig en penetrationstester som en person, der sidder og forsøger at bryde ind, indtil noget lykkes. Det billede er for snævert, fordi rollen hviler på en aftale: testeren planlægger, afprøver, vurderer og dokumenterer inden for de rammer, virksomheden har godkendt, og afleverer et grundlag, som andre skal handle på.
Kort sagt laver en penetrationstester en kontrolleret afprøvning af aftalte systemer og forklarer bagefter, hvad der blev fundet, hvad det kan betyde, og hvad der ikke blev undersøgt. Selve afprøvningen er kun en del af arbejdet. Forståelse af opgaven, løbende kontakt og en rapport, der kan bruges, fylder også.
Hvilke krav I bør stille til personen, er beskrevet særskilt. → Krav til penetrationstesteren
Arbejdet starter med at forstå spørgsmålet
Før noget afprøves, skal testeren vide, hvad virksomheden vil have svar på. Er spørgsmålet, om en udefrakommende kan nå kundeportalens data, eller om en almindelig bruger i ERP-systemet kan se mere, end rollen tillader? De to spørgsmål kræver forskellig adgang, forskellige forudsætninger og forskellig tid.
En erfaren tester stiller derfor mange spørgsmål i opstarten. Hvilke systemer er med, hvem ejer dem, hvilke miljøer må bruges, og hvem skal kontaktes, hvis noget går galt? Svarene bliver til scope og spilleregler. En tester, der ikke spørger, gætter, og gætværk ender i en rapport, der besvarer noget andet end det, I havde brug for. → Scope i en penetrationstest
Testeren skal også forstå forretningen bag systemet. En fejl i webshoppens kurv har en anden betydning end en fejl på en intern informationsside. Den forståelse påvirker, hvor tiden bruges, og hvordan fund senere vurderes.
Titlen dækker i øvrigt over forskellige arbejdsformer. Nogle testere arbejder alene på en opgave, andre i et lille hold, hvor én har kontakten til kunden og flere deler afprøvningen. Nogle er ansat i virksomhedens egen sikkerhedsfunktion, andre kommer udefra. For køberen er det vigtigste at vide, hvem der faktisk udfører arbejdet, hvem der skriver rapporten, og hvem I skal ringe til undervejs. Det bør stå i tilbuddet og ikke først blive klart på dagen, hvor testen begynder.
Selve testen er afprøvning og vurdering
I testperioden undersøger testeren de aftalte systemer for svagheder og forsøger at påvise, om de har betydning i praksis. Noget kan gøres med automatiske hjælpemidler. Andet kræver menneskelig vurdering, fx om en bruger kan nå en anden kundes oplysninger gennem en funktion, der i sig selv ser korrekt ud.
En stor del af arbejdet er at skille reelle forhold fra støj. Et muligt problem skal kontrolleres, før det kan kaldes et fund. Testeren noterer undervejs, hvad der er afprøvet, hvad der lykkedes, og hvad der ikke kunne undersøges. De noter bliver senere grundlaget for rapportens dokumentation og begrænsninger.
Testeren arbejder inden for det godkendte. Hvis et spor fører ud af scope, fx mod en tjeneste hos hostingfirmaet, stopper testeren og spørger. Det er ikke forsigtighed for forsigtighedens skyld. Uden tilladelse er handlingen ikke længere en del af opgaven. Forskellen mellem arbejde med og uden tilladelse er forklaret i → Hackere og deres hatte.
Kontakt undervejs er en del af jobbet
En penetrationstester arbejder sjældent i fuld isolation. Der kan være behov for at bekræfte en testkonto, aftale et tidspunkt med driftsleverandøren eller melde, at et system reagerer uventet. Den daglige kontakt går til den person, I har udpeget.
Særligt vigtigt er det, når testeren finder noget alvorligt midt i perioden. Så venter man normalt ikke på den endelige rapport, men melder fundet efter den procedure, der er aftalt. Det giver virksomheden mulighed for at handle, før testen er slut. → Kritisk fund under testen
Kontakten går også den anden vej. Hvis I ændrer noget i kundeportalen under testen, skal testeren vide det, ellers kan resultaterne blive svære at tolke.
Rapporten er den del, der bliver tilbage
Når afprøvningen er slut, skriver testeren rapporten. Den skal kunne læses af flere modtagere: et resumé til ledelsen, en beskrivelse af scope og forudsætninger og en gennemgang af fund med dokumentation og anbefalinger til dem, der skal rette.
Godt rapportarbejde kræver, at testeren oversætter tekniske iagttagelser til betydning. Det er ikke nok at skrive, at noget er sårbart. Læseren skal kunne se, hvilket system og hvilken funktion der er berørt, hvad det kan føre til, og hvor sikker vurderingen er. Ofte hører et afslutningsmøde med, hvor fundene gennemgås, og hvor spørgsmål til vurderingerne kan afklares. → Sådan læser I en pentestrapport
Efter afleveringen hører oprydning med: testkonti skal kunne lukkes, og materiale fra testen skal håndteres som aftalt.
Det, der ligger uden for testerens rolle
Testeren finder og beskriver. Testeren retter normalt ikke selv fejlene i jeres systemer, og det er en fordel, at den part, der efterprøver, ikke også er den, der har ændret løsningen. Hvem der retter, er et spørgsmål for virksomheden og dens leverandører. → Hvem retter fundene?
Testeren beslutter heller ikke, hvilke risici virksomheden kan leve med. Rapporten kan anbefale en prioritering, men accept af en kendt svaghed er en ledelsesbeslutning. Endelig kan testeren ikke love, at systemet er sikkert. Resultatet gælder det undersøgte, i den periode og under de forudsætninger, der var aftalt.
Det skal I lade være med
- At se testeren som en fejlretter · fundene skal behandles af systemejer og leverandør, ikke af den, der testede.
- At give lov til mere end opgaven · en mundtlig udvidelse i en travl periode gør scope uklart; skriv ændringer ned.
- At holde testeren uden for information · ændringer, nedetid og nye versioner under testen påvirker resultatet.
- At forvente, at testeren tager ansvaret for risikoen · prioritering og accept bliver hos virksomheden.
- At bedømme arbejdet på antal fund · en kort liste kan være resultatet af et grundigt arbejde på et velholdt system.
Hvad kan og ikke kan konkluderes
En penetrationstester kan dokumentere, hvad der blev afprøvet, hvad der blev påvist, og hvad der ikke kunne undersøges i den aftalte ramme. Det er et konkret og brugbart grundlag for beslutninger om webshoppen, kundeportalen eller kontornettet.
Testerens arbejde kan ikke konkludere noget om systemer uden for scope, om fremtidige ændringer eller om svagheder, der ikke var kendt eller ikke blev ramt. Det kan heller ikke erstatte virksomhedens egne beslutninger om prioritering og risiko.
Tjekliste før I møder testeren
- ☐ Har I formuleret det spørgsmål, testen skal besvare?
- ☐ Ved I, hvem der ejer de systemer, der skal med?
- ☐ Er der udpeget en kontaktperson med stedfortræder?
- ☐ Ved testeren, hvem der skal have besked om et alvorligt fund midt i testen?
- ☐ Ved I, hvem der retter fundene bagefter?
- ☐ Er det aftalt, hvordan testkonti og materiale håndteres efter testen?
Kilder
- NIST SP 800-115: planlægning, gennemførelse og rapportering som faser i en teknisk sikkerhedstest.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om penetrationstest
Læs også: Etisk hacker · Spørgsmål og svar
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
